Guía
Firma digital vs. firma electrónica: ¿cuál es la diferencia?
Una firma electrónica es cualquier indicación electrónica de la intención de firmar: un nombre escrito, un trazo dibujado, un clic para aceptar. Una firma digital es una forma específica de implementarla, protegida con criptografía. Toda firma digital es una firma electrónica; la mayoría de las firmas electrónicas no son firmas digitales, y para la inmensa mayoría de los documentos de negocios, eso está perfectamente bien.
Firma electrónica: la categoría legal
La Ley ESIGN define la firma electrónica de la forma más amplia posible: "un sonido, símbolo o proceso electrónico adjunto o lógicamente asociado a un registro, y ejecutado o adoptado por una persona con la intención de firmar el registro". Eso incluye un nombre escrito, una firma dibujada con el mouse, una firma con lápiz óptico en una tableta o incluso hacer clic en un botón de "Acepto", siempre que el proceso que la rodea establezca la intención, el consentimiento y la atribución. Consulta qué hace que una firma electrónica sea legalmente vinculante para ver la lista completa de condiciones.
Firma digital: la tecnología
Una firma digital es una técnica criptográfica específica: usa un par de claves pública y privada, normalmente emitido por una autoridad de certificación, para vincular una firma a un documento de una forma que se puede verificar matemáticamente y que deja en evidencia cualquier alteración a nivel criptográfico. Es el mecanismo de fondo en algunos contextos regulados o de alta seguridad: ciertos trámites ante el gobierno, industrias específicas con reglas más estrictas (como los registros regulados por la FDA bajo 21 CFR Part 11) y el nivel de "firma electrónica cualificada" de la Unión Europea bajo eIDAS, cuyos requisitos van mucho más allá de lo que necesita la mayoría de los contratos comerciales en EE. UU.
Lado a lado
| Firma electrónica | Firma digital | |
|---|---|---|
| Qué es | Una categoría legal: cualquier marca o acción electrónica que tenga la intención de ser una firma | Una técnica criptográfica que usa un par de claves pública y privada y un certificado |
| Ejemplos | Nombre escrito, firma dibujada, clic en "Acepto" | Una firma basada en certificados incrustada en un PDF; trámites firmados ante el gobierno |
| Qué prueba que es auténtica | El registro que la rodea: consentimiento, correo electrónico, dirección IP, marcas de tiempo, registro de auditoría | Las matemáticas: la cadena de certificados y la verificación de la firma |
| Se necesita para | Casi cualquier contrato comercial, contrato de arrendamiento, acuerdo de confidencialidad (NDA) y propuesta | Procesos que la exigen explícitamente: algunos registros regulados, portales del gobierno, el nivel cualificado de la UE |
| Preparación para el firmante | Ninguna: abre un enlace y firma | Un certificado (ID digital) de un proveedor de confianza, a menudo con verificación de identidad |
Cómo funciona una firma digital, en breve
- El software de firma calcula un hash del documento, una huella breve que cambia por completo si cambia aunque sea un solo carácter del documento.
- Cifra ese hash con la clave privada del firmante, que solo el firmante controla, y así produce la firma.
- Quien la verifica descifra la firma con la clave pública del firmante, publicada en su certificado, y compara el resultado con un hash nuevo del documento. Si coinciden, queda demostrado que el documento no ha cambiado y que lo firmó la clave privada correspondiente.
- El propio certificado está firmado por una autoridad de certificación, y eso es lo que permite que un desconocido confíe en que la clave pública realmente pertenece a esa persona u organización.
De ese último paso viene la mayor parte del costo y la preparación: una firma digital es tan confiable como el certificado que la respalda.
Por qué ocurre la confusión
Muchos programas de firma electrónica (DocuAgree incluido) usan hashes criptográficos para que cualquier alteración de un documento firmado quede en evidencia: calculan un hash del documento final para que cualquier cambio posterior se pueda detectar. Es una garantía de integridad real y significativa, y forma parte de un registro de auditoría sólido. Pero no es lo mismo que una firma digital basada en PKI con una autoridad de certificación detrás, y describirla así exageraría lo que realmente ocurre. Un hash prueba que un documento no ha cambiado desde que se completó; una firma digital (en el sentido formal) además prueba la identidad criptográfica mediante una cadena de certificados.
El ejemplo de Adobe Acrobat
Acrobat es una fuente común de confusión porque ofrece las dos cosas. Su función "Solicitar firmas electrónicas" envía un documento para firma electrónica mediante un enlace, como cualquier herramienta de firma electrónica. Por separado, su opción "Usar un certificado" aplica una firma digital basada en certificados desde un ID digital guardado en tu propia computadora. En pantalla se parecen, pero son procesos distintos con evidencias distintas detrás.
¿Cuál necesitas realmente?
Para contratos, propuestas, acuerdos de confidencialidad (NDA), acuerdos de servicios y la gran mayoría del papeleo diario de un negocio: una firma electrónica, respaldada por un proceso sólido que cumpla con la Ley ESIGN y la UETA, es exactamente lo que exige la ley y lo que esperan los tribunales. Solo necesitas una firma digital formal si una regulación específica, una agencia del gobierno o la otra parte del contrato la exige explícitamente: es la excepción, no la regla, y normalmente se indicará claramente en lo que vayas a firmar.
Preguntas frecuentes
¿Una firma digital tiene más validez legal que una firma electrónica?
En EE. UU., no para los contratos comunes. La Ley ESIGN y la UETA le dan pleno efecto legal a una firma electrónica bien hecha; no ponen una tecnología por encima de otra. Una firma digital puede reforzar la evidencia de identidad e integridad, algo que importa cuando una regulación o la otra parte lo exige, pero no es, por defecto, una categoría legal superior.
¿Necesito un certificado para firmar un contrato?
No, no para los contratos comerciales típicos, contratos de arrendamiento, acuerdos de confidencialidad (NDA) o propuestas. Un certificado solo hace falta cuando el proceso específico que sigues exige una firma digital basada en certificados, por ejemplo, algunos portales del gobierno o trámites regulados, y ese requisito normalmente se indica desde el principio.
¿Puedo crear una firma digital gratis?
Puedes crear sin costo un ID digital autofirmado en algunos programas de PDF, pero el software de otras personas no lo considerará de confianza, porque ninguna autoridad de certificación lo respalda. Una firma digital que otros puedan verificar generalmente necesita un certificado de un proveedor de confianza, lo que suele costar dinero y requerir una verificación de identidad.
¿Una imagen escaneada o pegada de mi firma a mano es una firma electrónica?
Puede serlo, si la pusiste con la intención de firmar y el proceso que la rodea registra quién lo hizo y cuándo. Por sí sola, una imagen pegada prueba muy poco, porque cualquiera podría pegarla; por eso el registro de consentimiento y el registro de auditoría importan más que la apariencia de la firma.
Información general, no asesoría legal. Si la otra parte o una regulación exige específicamente una firma digital (y no una electrónica), confirma el requisito exacto antes de depender de un software de firma electrónica estándar.